CVE-2025-15379 MLflow 命令注入漏洞：代码执行

CVE-2025-15379 是 MLflow 中一个关键的命令注入漏洞，尤其是在模型服务容器初始化代码中。当使用 envmanager=LOCAL 部署模型时，此漏洞会发生。MLflow 从模型工件的 pythonenv.yaml 文件中读取依赖项规范，并在未进行任何清理的情况下直接将其插入到 shell 命令中。攻击者可以通过提供恶意的模型工件来利用此漏洞，从而在部署模型的系统上执行任意命令。CVSS 评分是 10.0，表明风险极高。3.8.1 之前的版本会受到影响。根本原因是 python_env.yaml 文件中缺乏输入验证，从而允许命令注入。

Organizations heavily reliant on MLflow for model deployment, particularly those using the LOCAL environment manager, are at significant risk. This includes data science teams, machine learning engineers, and DevOps professionals responsible for deploying ML models in production environments. Shared hosting environments where multiple users can upload model artifacts are also particularly vulnerable.

• python / mlflow:

import os
import subprocess

def check_python_env_yaml(yaml_file):
    try:
        with open(yaml_file, 'r') as f:
            yaml_content = f.read()
        if '!' in yaml_content:
            print(f"Potential command injection detected in {yaml_file}")
    except FileNotFoundError:
        print(f"File not found: {yaml_file}")

# Example usage
check_python_env_yaml('path/to/python_env.yaml')

• linux / server:

find /opt/mlflow/models -name 'python_env.yaml' -print0 | xargs -0 grep -l '!'

1. 2026-03-30Disclosure

   disclosure

1. 已保留2025-12-30
2. 发布日期2026-03-30
3. 修改日期2026-04-01
4. EPSS 更新日期2026-04-06

针对 CVE-2025-15379 的主要缓解措施是升级到 MLflow 版本 3.8.1 或更高版本。此版本包含一个修复程序，可以清理 pythonenv.yaml 文件中的输入，从而防止命令注入。作为额外的预防措施，如果可能，请避免使用 envmanager=LOCAL，并选择更安全的环境管理方法。如果必须使用 envmanager=LOCAL，请在将依赖项用于任何 shell 命令之前，严格验证和清理 pythonenv.yaml 文件中指定的依赖项。监控系统日志以查找可疑活动对于检测潜在的利用尝试也很重要。